untitled

Size: px

Start display at page:

Download "untitled"

めぐのいさし
5 years ago
Views:

3 DNS DNS ? DNS Amplifier DoS BIND Unbound NSD BIND ACL view DNSSEC BIND DNSSEC Unbound DNSSEC glue additional... 28

4 DNS

5 1.4. Authoritative Server Cache Server Forwarder

6 1.5. DNS example.jp jp co.jp example.co.jp (1) example.co.jp (2)

8 2.1.? 2.2. DNS Amplifier DoS

9 3. BIND 3.1. Unbound Unbound rndc unboundserver: verbosity: 1 # munin extended-statistics: yes statistics-cumulative: no statistics-interval: 0 # 5 1 munin port: 53 remote-control: # outgoing-interface: # unbound access-control: /24 control-enable: yes

10 control unbound-control-setup unbound SIGHUP unbound-control unboundcontrol-setup -sha256 -sha NSD NSD master zone: name: "example.co.jp" # zonefile: "/etc/nsd/example.co.jp.zone" # Slave provide-xfr: NOKEY nsd-checkconf nsdcheckcon -v nsd.db nsd nsdc rebuild nsd.db

11 # nsd-checkconf -v /dev/null # Read file /dev/null: 0 zones, 0 keys. # Config settings. server: debug-mode: no ip4-only: no ip6-only: no hide-version: no database: "/var/db/nsd/nsd.db" #identity: #nsid: #logfile: server_count: 1 tcp_count: 10 tcp_query_count: 0 tcp_timeout: 120 ipv4-edns-size: 4096 ipv6-edns-size: 4096 pidfile: "/var/run/nsd/nsd.pid" port: "53" statistics: 0 #chroot: username: "bind" zonesdir: "/usr/local/etc/nsd" difffile: "/var/db/nsd/ixfr.db" xfrdfile: "/var/db/nsd/xfrd.state" xfrd_reload_timeout: 10 NSD Slave provide-xfr request-xfr nsd.db nsdc rebuild nsd.db nsd zone: name: "example.co.jp" # zonefile: "/var/lib/nsd/example.co.jp.zone" # Master request-xfr: NOKEY

12 Master nsd rebuild テキスト形式読み込み変換 n sd.d b M aster (N SD) ゾーン転送 Slave Slave (NSD ) nsdc rebuild 書き出し読み込み nsd.db nsdc patch 再構築変換 ixfr.db テキスト形式 nsdc patch Master でゾーンが更新された場合 Slave の nsd が転送してきたデータはバイナリファイル(nsd-checkconf v で表示される difffile が指すファイルでデフォルトでは ixfr.db)に格納され zonefile が指定しているテキストのファイルは更新されないことに注意が必要ですバイナリファイルからテキストファイルを復元するためには nsdc patch を実行します Master から自動的に転送してきた情報は ixfr.db に順次追記されゾーン転送が行われるたびにファイルは際限なく膨張していきます nsdc patch は ixfr.db を整理して nsd.db に反映する作業も行いますので定期的に nsdc patch を実行する必要があります 4. BIND による運用現在 BIND で権威サーバとキャッシュサーバを動作させている場合とにかく分離するのが一番安全ですしかし分離するには予算の稟議が必要でとても無理等と Internet Internet 再帰的でない問合せ再帰的でない問合せ再帰的でない問合せ権威サーバキャッシュサーバ権威サーバかつフォワーダフォワーダキャッシュサーバ再帰的問合せ再帰的問合せ望ましい配置よくある配置 12

13 acl mycompany { /16; /16; allow-recursion { mycompany; allow-query, allow-query-on, allow-recursion, allowrecursion-on, allow-query-cache, blackhole 4.1. ACL allow-query allow-query-on allow-recursion allowrecursion BIND 9.4 allow-recursion recursion allow-recursion allow-query-cache allow-query allow-recursion off none on localhost + localnets allow-query allow-query-cache allow-recursion

14 allow-query-cache recursion, allow-query, allowrecursion, allow-query-cache allow-recursion allow-query BIND 9.4 allow-query-cache recursion allow-query-cache allow-recursion allow-query allow-query-cache off none on localhost + localnets allow-query allow-recursion allow-query-cache blackhole 4.2. view

15 options { recursion no; /* */ } acl "interanet" { /8; /16; view "internal" { match-clients { "intranet"; /* / /16 */ recursion yes; allow-recursion { any; /* match-clients */ view "external" { match-clients { any; recursion no; options { directory "/var/named"; recursion on; zone "." { type hint; file "named.root"; } zone "example.co.jp" { type master; file "example.zone";

16 view options { directory "/var/named"; recursion on; view "default" { match-clients { any; allow-recursion { any; zone "." { type hint; file "named.root"; zone "example.co.jp" { type master; file "example.zone"; acl team1 { /24; acl team2 { /24; acl mygroup { team1; team2; acl external {! mygroup; /*! */

17 view /* option */ acl branch1 { /24; acl branch2 { /24; acl mycompany { branch1; branch2; acl external {! mycompany; view "company" { match-clients { mycompany; recursion on; allow-recursion { any; zone "example.co.jp" { type master; file "example.zone"; view "default" { match-clients { any; recursion on; allow-recursion { any; zone "example.co.jp" { type master; file "example.zone"; recursion onallow-recursion (5) recursive

18 options { directory "/var/named"; recursion no; /* option */ acl branch1 { /24; acl branch2 { /24; acl mycompany { branch1; branch2; acl external {! mycompany; view "company" { match-clients { mycompany; recursion on; allow-recursion { any; zone "example.co.jp" { type master; file "example.zone"; view "default" { match-clients { any; recursion no; /* */ zone "example.co.jp" { type master; file "example.zone"; 4.3. recursive-clients 5. DNSSEC

19 5.1. BIND DNSSEC 5.2. Unbound DNSSEC unbound-anchor # unbound-anchor a /var/unbound/root.key # chown unbound:unbound /var/unbound/root.key server: auto-trust-anchor-file: "root.key" unbound 6.

20 6.1. 問合せ自体のログ採取 logging { channel qlog { /* qlog でなくても勝手な名前でよい */ syslog local1; category queries { qlog; } BIND には受信したクエリパケットのログを syslog 経由で出力でき攻撃の検知に利用できますその他の DNS サーバの場合はクエリの内容を選んで出力することが出来ないので tcpdump などでパケットのログを取るか全体のデバッグレベルを上げて全てのログをとるしかなくあまり長期間の運用には向いていません BIND でクエリ毎のログを採取するには named.conf の logging オプションで指定します local1 の facility 属性で syslog が大量に発生するので DNS サーバが直接ファイルに記録するとディスク IO によって反応が悪くなってしまいます syslog を記録するサーバを別途用意して syslog.conf にサーバのホスト名などと記載してディスク IO はそのサーバに任せた方がよいでしょう syslog サーバ側では local1.* /var/log/qlog/querylog などと設定して適当なファイルに出力します DNSサーバ syslogサーバ querylog /var/log/querylog query query query query 20

21 logrotate newsyslog recursive Oct 12 08:38:24 kun named[533]: client xxx.yyy#39815: view external: query: in addr.arpa IN PTR E Oct 12 08:38:25 kun named[533]: client xxx.yyy#39825: view internal: query: hoge.com IN MX + Oct 12 08:38:43 kun named[533]: client xxx.yyy#40010: view internal: query: mail.hoge.comt IN A /* option, logging, ACL */ view internal { /* */ matchclients { mycompany; recursion yes; /* */ querylog no; view externalclients { match-clients { any; /* */ Oct 12 08:38:24 kun named[533]: client xxx.yyy#39815: view external: query: in addr.arpa IN PTR E match-recursive-only yes; /* */ recursion yes; /* */ Oct 12 08:38:25 kun named[533]: client xxx.yyy#39825: view internal: query: hoge.com IN MX + querylog yes; } Oct 12 08:38:43 kun named[533]: client xxx.yyy#40010: view internal: query: mail.hoge.comt IN A + view external { /* externalclients */ match-clients { any; recursion no; /* view */ querylog no; /* */ logging category queries querylog querylog logging queries querylog no;

22 externalclients recursion no mycompany munin nbound

23 [unbound-server1] address use_node_name yes /var/www/munin /usr/local/www/munin httpd.conf Unbound contrib/munin_unbound_ /etc/munin/plugins/munin_unbound

24 /etc/munin/plugins% ls -l *unbound* -rwxr-xr-x 1 root root Apr unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_by_class -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_by_flags -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_by_opcode -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_by_rcode -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_by_type -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_histogram -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_memory -> unbound_munin_ lrwxrwxrwx 1 root root 14 Apr unbound_munin_queue -> unbound_munin_ plugin /etc/munin/plugin-conf.d/unbound, FreeBSD /usr/local/etc/munin/plugin-conf.d/unbound [unbound*] user root env.statefile /var/lib/munin/plugin-state/unbound-state env.unbound_conf /var/unbound/unbound.conf env.unbound_control /usr/sbin/unbound-control env.spoof_warn 1000 env.spoof_crit munin-node munin-node.conf munin-node % telnet localhost 4949 Trying Connected to localhost ( ). Escape character is '^]'. # munin node at localhost.localdomain list open_inodes irqstats if_err_eth3 unbound_munin_memory df swap unbound_munin_by_rcode load unbound_munin_queue cpu df_inode unbound_munin_histogram forks open_files iostat memory unbound_munin_by_type vmstat unbound_munin_ entropy processes unbound_munin_by_opcode if_err_eth2 postfix_mailqueue if_eth3 netstat interrupts unbound_munin_by_class if_eth2 unbound_munin_by_flags quit Connection closed by foreign host.

25 BIND unbound-control options { statistics-file "/var/run/named.stats"; named named munin-node /var/run/named.stats muninnode-configure bind9 bind9_rndc bind9 querylog bind9_rndc rndc stat bind9 querylog rndc bind9_rndc bind9, bind9_rndc named.stats bind9_rndc Unbound

27 BIND glue

28 ; <<>> DiG APPLE-P2 <<>> +norecur -t ns ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 0 ;; QUESTION SECTION: ;google.co.jp. IN NS ;; AUTHORITY SECTION: google.co.jp IN NS ns1.google.com. google.co.jp IN NS ns3.google.com. google.co.jp IN NS ns2.google.com. google.co.jp IN NS ns4.google.com. ;; Query time: 11 msec ;; SERVER: #53( ) ;; WHEN: Tue May 17 10:19: ;; MSG SIZE rcvd: additional additional-from-auth additional-from-cache

Microsoft Word DNS表紙(更新)_ docx

Microsoft Word DNS表紙(更新)_ docx 情報化化された組組織のセキュリティマネジメント WG 成果報報告書第 3 部セキュリティ向上上を主主眼とする DNS 設定ガイド 20122 年 5 月 11 日サイエンティフィックシステム研究会情報化化された組織のセキュリティマネジメント WG B グループ WG メンバー全体会員賛助会員 ( 富士通 ) 氏名機関 / 所属 (2012 年 3 月 31 日現在 ) 担当幹事長谷川明生